BeyondTrust-Zero-Day seit August von China-verknüpften Hackern ausgenutzt

BeyondTrust hat eine Zero-Day-Lücke zur Authentifizierungsumgehung gepatcht, bekannt als CVE-2026-102764, die eine mutmaßlich China-nahe Spionagegruppe seit Ende August 2026 in BeyondTrust Remote Support ausnutzt, laut Forschung von Mandiant und der Google Threat Intelligence Group, die diese Woche veröffentlicht wurde. Die Lücke betrifft BeyondTrust Remote Support (RS) Version 26.2.3 und früher; Privileged Remote Access SaaS-Kunden waren automatisch abgedeckt.

Die Threat-Intelligence-Teams von Mandiant und Google schreiben die Angriffe einer Gruppe zu, die sie Armory Castle nennen, zuvor als UNC5221 verfolgt und von CrowdStrike als Warp Panda bezeichnet. Bei den beobachteten Eindringversuchen nutzten die Angreifer die Authentifizierungsumgehung, um auf ungepatchte Appliances zuzugreifen, und setzten dann eine Web-Shell ein, um von einer nicht privilegierten Fernposition auf vollen Root-Zugriff zu eskalieren. Von dort aus installierten sie zwei eigene Malware-Familien, Sawfly und Bareclaw, löschten Protokolle, um ihre Spuren zu verwischen, und bewegten sich mithilfe kompromittierter Administratoranmeldedaten seitwärts durch die Netzwerke der Opfer.

Die Schwere ergibt sich daraus, wofür eine BeyondTrust-Remote-Support-Appliance ausgelegt ist: Root-Zugriff legt jede Anmeldeinformation offen, die die Appliance speichert oder im Auftrag der Organisationen vermittelt, die sie für privilegierten Fernzugriff nutzen. Mandiant empfiehlt, jede aus dem Internet erreichbare Appliance, die während des rund siebenwöchigen Ausnutzungsfensters eine verwundbare Version ausführte, als potenziell kompromittiert zu behandeln, bis sie unabhängig überprüft wurde, statt sie allein deshalb als sicher anzunehmen, weil sie seitdem gepatcht wurde. Der Sicherheits-Scan-Dienst Shadowserver zählte mehr als 1.400 derzeit öffentlich im Internet erreichbare BeyondTrust-Remote-Support-Instanzen.

BeyondTrust verteilte den Fix am 8. Oktober 2026 an seine SaaS-Kunden. Organisationen, die selbst gehostete Installationen ohne aktivierte automatische Updates betreiben, müssen den Patch manuell anwenden, und die rund einwöchige Lücke zwischen der SaaS-Korrektur und der öffentlichen Offenlegung dieser Woche gab Administratoren selbst gehosteter Instanzen nur begrenzte Vorwarnzeit, bevor Angreifer vermutlich dieselben Patch-Hinweise bemerkten.

Fernwartungs- und Privileged-Access-Tools sind ein zunehmend attraktives Ziel, gerade weil sie dazu entwickelt wurden, mit erhöhtem Zugriff auf viele andere Systeme vertraut zu sein — eine einzige erfolgreiche Umgehung hier kompromittiert nicht nur eine Maschine, sondern übergibt dem Angreifer potenziell die Schlüssel zu allem, was diese Appliance verwalten sollte, wie zuerst von BleepingComputer berichtet.